ارزون کار نکنید عزیزان
و‌ مراقب افرادی باشید که ارزون کار کردن رو عادی جلوه میدهند

“هوش مصنوعی” واقعا هوش؟ یا مصنوعی؟

⭐️ @RadvanSec

چین و سنگاپور در حال جمع آوری سنگین دیتا از کل اینترنت هستند


طبق داده های سایت تله کانال لینوکسور متوجه شدیم چین با یک مجموعه 60 هزار تایی ربات در حال تغذیه دیتا از سایت ها هستند، این دیتا ها احتمالا برای مدل های هوش مصنوعی جمع آوری می‌شوند.

برای درک عظمت این تعداد، یوزر های آمریکا ربات های گوگل و chatgpt هستند که در مجموع فقط 500 عدد هستند.


@Linuxor

⭐️ @RadvanSec

DirectComposition Vulnerability

Exploit

⭐️ @RadvanSec

بنظرتون چه ریسک امنیتی داره این سرویس ‌؟

➜ ~ swaks --server 194.237.69.170 --to test1@inratt.se --from test2@inratt.se --header "Subject: PoC Open Relay Test" --timeout 30 --protocol SMTP

=== Trying 194.237.69.170:25...
=== Connected to 194.237.69.170.
<-  220 server10.inratt.se Microsoft ESMTP MAIL Service ready at Mon, 3 Nov 2025 09:27:16 +0100
 -> HELO apples-macbook-2.local
<-  250 server10.inratt.se Hello [3.313.2.5]
 -> MAIL FROM:<test@inratt.se>
<-  250 2.1.0 Sender OK
 -> RCPT TO:<tiyed17750@inratt.se>
<-  250 2.1.5 Recipient OK
 -> DATA
<-  354 Start mail input; end with <CRLF>.<CRLF>
 -> Date: Mon, 03 Nov 2025 12:05:10 +0330
 -> To: tiyed17750@inratt.se
 -> From: test@inratt.se
 -> Subject: PoC Open Relay Test
 -> Message-Id: <20251103120510.004312@apples-macbook-2.local>
 -> X-Mailer: swaks v20240103.0 jetmore.org/john/code/swaks/
 -> 
 -> This is a test mailing
 -> 
 -> 
 -> .
<-  250 2.6.0 <20251103120510.003801@apples-macbook-2.local> [InternalId=8238] Queued mail for delivery
 -> QUIT
<-  221 2.0.0 Service closing transmission channel
=== Connection closed with remote host.

ملاحظه : ‌سرور تستی هست

اکسپلویت جدید 0day کرنل ویندوز که روی ویندوز 11 نسخه 25H2 کاملا patch کار می کند.

دو هفته بی وقفه قهوه خوردم تا رسیدم به این نتیجه!

اجرای ROP دلخواه در کرنل ویندوز برای تسخیر کنترل نقطه ورود KiSystemCall64 از طریق رجیستر مدل خاص IA32_LSTAR:

مراحل آماده سازی:
تمام آفست ها و گجت ها در زمان اجرا از نقطه شروع یک انفویلیک از آسیب پذیری جداگانه در یک درایور دوم محاسبه می شوند، این مرحله برای مخفی کاری اختیاری است. و اگر برای سادگی در دسترس باشد می توان از EnumDeviceDrivers استفاده کرد اما صدای بیشتری تولید می کند.

راه اندازی درایور: کار را با آدرس مجازی اکسپلویت در یک درایور امضا شده اما آسیب پذیر در حلقه 0 شروع می کنیم. این درایور یا یک دستگاه موجود را باز می کند یا موقتا یکی نصب می کند، دو تا اگر از انفویلیک استفاده شود. از طریق آن درایور ما پرایمیتیوهای خواندن و نوشتن MSR دلخواه را به دست می آوریم.

بهره برداری: در حالی که هنوز در فضای کاربر هستیم مقدار IA32_LSTAR را نشت می دهیم که پل syscall از مود کاربر به مود کرنل را مشخص می کند، سپس پایه ntoskrnl را بازیابی می کنیم. آن یا یک انفویلیک نقطه شروع ما است که با آن آفست گجت های ROP داخل ntoskrnl (مثل pop rcx و mov cr4, rcx و sysret) را پیدا می کنیم و آفست های KPCR لازم برای بازسازی استک کرنل پس از ربودن مسیر syscall را کشف می کنیم.

ربایش MSR: مقدار IA32_LSTAR را طوری می نویسیم که به زنجیره گجت ها اشاره کند به جای KiSystemCall64 اصلی، آفست KiSystemCall64 با استفاده از MSR_READ به دست آمد. هندلر به ترتیب گجت ها منتقل می شود، SMEP را با تغییر موقتی CR4 غیرفعال می کند و سپس به Payload در فضای کاربر که با امتیازات کامل کرنل اجرا می شود جامپ می کند.

Payload: نه تنها یک شلکد ساده! payload در زمان اجرا RtlFindExportedRoutineByName را حل می کند تا هر API کرنلی را که بخواهیم فراخوانی کند مثلا فهرست فرآیندها را بگیرد یا IPI هایی بفرستد تا CR4 را روی هر هسته بخواند یا هر کار دلخواه دیگری انجام دهد. پس از اتمام، آدرس اصلی KiSystemCall64 را دوباره در IA32_LSTAR بازنشانی می کنیم، SMEP را فعال می کنیم و به حالت کاربر بازمی گردیم.

خلاصه: یک اکسپلویت صفر روزه پیدا کردم، آن را با یک انفویلیک ترکیب کردم و در ویندوز 11 کاملا وصله شده اجرا کردم. این یک افزایش امتیاز است که هر پرایمیتیو خواندن یا نوشتن MSR را به اجرای قابل اعتماد در کرنل تبدیل می کند: هدف syscall را نشت کن، ترمپولین را با یک زنجیره گجت مینیمال ربایش کن، کد دلخواه حلقه صفر را اجرا کن، سپس همه چیز را به حالت قبل برگردان تا سیستم طوری رفتار کند که انگار هیچ اتفاقی نیفتاده است.

Linkedin

⭐️ @RadvanSec

آقا استفاده کنید شدیدا جوابه 🔥

برای توضیح این تکنیک اول باید درمورد DLL Hijacking یک توضیح کوتاه داده بشه
وقتی یک برنامه مثل Narrator.ext رو بدون مشخص کردن مسیر کامل فراخوانی میکنه ویندوز طبق یک ترتیب جستجوی DLL search order دنبال فایل DLL میگرده اگر یک مهاجم بتونه یک DLL مخرب رو در یکی از مکان هایی که قبل از DLL اصلی جستجو میشه قرار بده سیستم به جای DLL معتبر DLL مخرب رو بارگذاری و اجرا میکنه که میتونه منجر به اجرای کد در Context فرایند قربانی بشه

حالا چرا Narrator هدف میگیره؟؟
Narrator یک ابزار دسترسی پذیری ویندوز است که معمولا با سطح دسترسی کاربر سیستم اجرا میشود و روی بیشتر سیستم ها نصب و قابل اجراست
هربرنامه ی سیستمی مخصوصا ابزار های کمکی که DLL هایی را بارگزاری میکنند و از مسیر قابل نوشتن یا مسیر های متغییر استفاده میکنن میتواند هدف باشد در گزارش های اخیر تعدادی مقاله به عنوان مثال نشان داده اند که Narrator میتواند مسیر های قابل استفاده برای hijack داشته باشه و این میتونه برای persist و حتی lateral movement شود
و البته باید بگم مشکل از Narrator نیست مشکل از روش بارگزاری DLL (عدم استفاده از مسیر کامل) است و چون Narrator یک executable قابل اجرا روی اکثر سیستم هاست ارزش بالایی برای مهاجم دارد

سناریو حمله :‌

۱- مهاجم دستگاهی رو پیدا میکند که بتواند فایل یا DLL در یکی از مسیر های جستجو قرار دهد مثلا پوشه ای که برنامه از ان اجرا میشود و یا دایرکتوری جاری

۲- یک DLL با همان نام مورد انتظار برنامه میسازد و آن را داخل همان مسیر میگذارد

۳- زمانی که برنامه فراخانی میکند به جای DLL قانونی , DLL مهاجم بارگزاری میشود مهاجم در کانتکست کاربر دسترسی خواهد داشت

⭐️ @RadvanSec

نکته #باگ_بانتی استخراج URLهای فایل‌ های جاوااسکریپت از هر صفحه!
فراموش کن DevTools رو باز کنی از این بوک‌مارکت استفاده کن تا فوری همه URLهای فایل.js رو استخراج کنی و تو یه فایل.txt دانلودشون کنی.
چرا مهمه:
سریع همه فایل‌های جاوااسکریپت لینک‌ شده رو جمع کن 
ازشون برای تحلیل استاتیک(LinkFinder، SecretFinder و غیره)استفاده کن 
عالی برای recon،کشف endpoint و دور زدن احراز هویت
کد بوک‌ مارکت:

javanoscript:(function(){let urls=[];document.querySelectorAll('*').forEach(e=>{urls.push(e.src,e.href,e.url)});urls=[...new Set(urls)].filter(u=>u&&u.endsWith('.js')).join('\n');let blob=new Blob([urls],{type:'text/plain'});let a=document.createElement('a');a.href=URL.createObjectURL(blob);a.download='javanoscript_urls.txt';a.click();})();

چطور استفاده کن: 
یه بوک‌مارکت جدید تو مرورگرت بساز. 
کد بالا رو تو فیلد URL بچسبون. 
به سایت هدف برو و بوک‌مارکت رو کلیک کن. 
فایل javanoscript_urls.txt با همه لینک‌های.js دانلود میشه.

حالا می‌تونی اینو به: 
LinkFinder 
SecretFinder 
JSParser 
یا تحلیل دستی بدی!
@TryHackBox

هوش مصنوعی ChatGpt توانست بدافزار XLoader را که از رمزنگاری چند لایه ای و مبهم سازی api call ها و process injection و سایر تکنیک های دیگر ، استفاده می کند را تحلیل نماید و رمزنگاری RC4 مربوط به این بدافزار را بشکند . محققین خروجی برنامه معروف IDA Pro را که برای تحلیل بدافزار می باشد را برای تحلیل به این هوش مصنوعی دادند🥲😭

⭐️ @RadvanSec

JSDif

A powerful JavaScript monitoring tool for bug bounty hunters. Track changes in JavaScript files across websites, detect new attack surfaces, and stay ahead of security vulnerabilities.

#GithubTools #github
#bugbounty #bug
#javanoscript #cybersecurity @RadvanSec

Bug Bounty Reading List: A curated collection of articles and resources for bug bounty hunters.

https://bb.vitorfalcao.com/

استفاده از ابزار های پابلیک توصیه نمیشه ولی اینم زیر زیر پر شالتون داشته باشید

venum C2
https://github.com/boku7/venom

⭐️ @RadvanSec

CVE-2025-6554

https://github.com/Muhammednihalmp/Google-chrome-zero-day

⭐️ @RadvanSec